一句話回答
SEMI E187 是全球第一個半導體晶圓廠設備資安標準，訂出設備在出廠前就必須內建的最低資安要求，由台積電與工研院主導、2022 年 1 月正式發布。
重點速覽
- 全名：SEMI E187 Specification for Cybersecurity of Fab Equipment（晶圓廠設備資安規範）。
- 少數由台灣主導制定的國際標準，起因是 2018 年一起讓產線停擺的病毒事件。
- 管的是晶圓廠設備上執行 Windows 或 Linux 的電腦，不包含 PLC、SCADA。
- 四大面向：作業系統、網路安全、端點防護、資安監控。
- 它不是法律，但晶圓廠可以把它寫進採購規格與驗收流程——對設備商來說，等同交貨門檻。
- 2026 年 8 月 SEMI 宣布大改版，加入分級安全等級；台灣的第三方驗證標章預計 2026 年底核發。
什麼是 SEMI E187？
SEMI 是國際半導體產業協會，負責制定半導體設備與材料的產業標準。E187 是 SEMI 第一個資安標準，定位是半導體設備的資安基線——也就是每台設備都應該做到的最低要求。
它的核心精神是「安全內建於設計（Secure by Design）」：資安不是設備進廠後才由晶圓廠自己補，而是設備商在設計、出貨前就要做好。
緣起：一次讓產線停擺的事件
2018 年 8 月，台積電在安裝新機台時，因為人員疏失讓電腦病毒進入產線，造成部分電腦與機台感染、產線停擺。媒體估計營收損失約新台幣 52 億元，是台灣有史以來損失金額最高的資安事件。
這起事件暴露了半導體設備的長期問題：一台設備要用十幾二十年、成本要分很多年攤提，但裡面的電腦還在跑已經停止支援的 Windows XP，漏洞根本無法修補。
同年 9 月起，台積電透過 SEMI 標準平台推動成立資安工作小組，由台積電與工研院資通所共同主持，集結聯電、日月光、力積電、台灣應材、南亞科、台達電、MOXA 等 34 家產業代表與學界，歷時三年，在 2022 年 1 月正式發布 SEMI E187。
適用範圍
| 內容 | |
|---|---|
| 適用 | 晶圓廠生產設備與自動化物料搬運系統（AMHS）上，執行 Microsoft Windows 或 Linux 作業系統的電腦 |
| 不適用 | 可程式邏輯控制器（PLC）、監控與資料擷取系統（SCADA），以及透過 PROFIBUS、MODBUS、DeviceNet 等感測器／致動器網路連接的裝置 |
不適用的設備仍然需要保護，只是要用其他 OT 資安控制措施（例如網路隔離）處理。
誰會被要求？
| 對象 | 角色 |
|---|---|
| 設備商 | 主要責任方：設備出貨前就要符合 E187，並提供相關文件與報告 |
| 晶圓廠、封測廠 | 把 E187 寫進採購規格；設備進廠時檢查是否符合 |
| 廠內 IT／資安團隊 | 日常維護時持續確認設備的資安狀態 |
E187 屬於產業標準、不是法律，但 SEMI 建議晶圓廠把它列為採購規格。對設備商來說，只要客戶寫進合約或驗收條件，就是必須達到的門檻。
四大面向
| 面向 | 要解決的問題 | 主要要求 |
|---|---|---|
| 1. 作業系統 | 設備用了停止支援的系統，漏洞無法修補 | 不使用已終止支援（EOL）的作業系統；提供修補與更新流程說明；無法升級的舊設備以防火牆隔離作為補償 |
| 2. 網路安全 | 設備透過網路被入侵或散播惡意程式 | 使用 HTTPS、SFTP、SSH 等安全協定；關閉不必要的連接埠、協定與服務；提供網路設定文件 |
| 3. 端點防護 | 設備本身被植入惡意程式或被未授權存取 | 出貨前做弱點掃描與惡意程式掃描並修補（報告須記錄日期與細節）；支援防毒；限制可攜式媒體；最小權限；建議多因素驗證 |
| 4. 資安監控 | 出事時無法追查 | 產生並傳送資安日誌（存取、組態變更、系統錯誤）；日誌建議遠端保存、防止竄改；只讓授權者以唯讀方式存取 |
這套標準的設計思維：OT 零信任
E187 的背後是「OT 零信任」的概念：不管是來自外部還是內部的人員、網路、資產，在沒有事先識別之前都不應該被信任。而半導體設備是高科技製造現場資安的第一道門——沒有設備商一起配合，晶圓廠很難落實零信任。
相關標準：E188、E191
| 標準 | 內容 | 與 E187 的關係 |
|---|---|---|
| SEMI E187 | 設備資安基線 | 本文主題 |
| SEMI E188 | 無惡意程式的設備整合（Malware Free Equipment Integration） | 與 E187 同時發布；範圍更廣，涵蓋電腦、控制器、PLC 等所有設備元件 |
| SEMI E191 | 設備資安狀態回報 | 讓設備能向廠方回報自身的資安狀態 |
| ISA/IEC 62443 | 國際工控資安標準 | E187 系列與 62443 對齊 |
最新發展（截至 2026 年 10 月）
- 2022 年 10 月：SEMI 台灣發布 E187 導入指南（Reference Practice），協助業者掌握落實重點。
- 2025 年 8 月：SEMI 發布 E187 合規白皮書，每項要求都附上理由、實作指引與應準備的產出物。
- 2026 年 8 月：SEMI 宣布 E187 大改版，加入分級安全等級與更完整的防禦架構，強調系統化強化、移除非必要功能、及時修補供應商公告的漏洞，以及處理作業系統停止支援等生命週期問題。
- 第三方驗證：數位發展部與 SEMI 已啟動認驗證制度，資策會與工研院取得 TAF ISO/IEC 17025 實驗室認證；據 2026 年 9 月報導，首批 SEMI E187 驗證標章預計於 2026 年底核發。
驗證前檢查清單（設備商）
| 面向 | 檢查項目 |
|---|---|
| 作業系統 | ☐ 作業系統仍在原廠支援期內 ☐ 有書面的修補與更新程序 ☐ 已套用最新安全修補 |
| 網路 | ☐ 只使用加密通訊協定 ☐ 已盤點所有開啟的服務與連接埠 ☐ 已停用 Telnet、FTP 等不安全協定 |
| 端點 | ☐ 出貨前完成弱點掃描與惡意程式掃描，報告有日期 ☐ 支援防毒軟體 ☐ 限制 USB 與本機安裝權限 ☐ 已關閉不必要的服務 |
| 帳號權限 | ☐ 已停用預設帳號 ☐ 有密碼政策 ☐ 不使用共用帳號 ☐ 依角色授權 |
| 日誌 | ☐ 會記錄登入、組態變更、系統錯誤 ☐ 日誌可傳送到廠方系統 ☐ 日誌受保護、不可任意刪改 |
只有文件不夠。 晶圓廠與驗證單位會要求可獨立查核的結果，例如：設備上是否還有已知漏洞、預設帳號、高風險連接埠、未加密的通訊。每一項都需要掃描報告、設定紀錄或日誌當證據。
如何導入：四個步驟
- 盤點設備與軟體：列出每台設備的作業系統、版本、開啟的服務與安裝的軟體。產出：設備資產清單。
- 把要求轉成可驗證的檢查項目：依四大面向與客戶要求，訂出每一項要怎麼檢查、什麼結果算通過。產出：檢查基準。
- 評估與差距分析：實際掃描與檢查，依風險和對生產的影響排出改善優先順序。產出：差距報告。
- 改善、留存證據、持續複查：記錄負責人與進度；設備變更後重新評估。產出：改善紀錄、複查報告。
E187 不是做一次就結束：設備在廠內會經歷安裝、量產、維修、升級，每次變更都可能影響資安狀態，需要定期複查。
常見誤區
- 以為 E187 只是設備商的事。 晶圓廠要負責寫進採購規格、進廠驗收與日常維護。
- 以為準備好文件就能過。 驗證看的是實際的掃描與設定結果。
- 舊設備直接放棄。 無法升級作業系統的設備，可以用網路隔離等補償措施處理，並記錄理由。
- 只檢查一次。 維修、更換零件、軟體更新後都可能產生新問題。
Guidant AI 如何協助
E187 的每一項檢查都需要證據：掃描報告、設定紀錄、日誌。Guidant AI 幫助您把這些證據自動蒐集、集中管理。
- 檢測 Agent：部署在廠區網路內，執行組態合規檢查（OpenSCAP）、連接埠與服務盤點（Nmap）、弱點掃描等，報告自動成為證據。
- 自訂檢查項目：把 E187 四大面向與客戶的驗收要求建成控制項，逐項指派負責人、追蹤狀態。
- 任務與證據集中管理：每台設備、每一項檢查的證據都掛在對應項目下，驗收或稽核時一次匯出。
- 週期性複查：設定定期重新檢測，設備變更後不會漏掉。
- 落地部署：可安裝在廠區內部網路，檢測資料不出廠。
Guidant AI 不是 E187 驗證單位，不會核發驗證標章。
常見問題
不是法律，屬於產業標準。但晶圓廠可以把它列入採購規格、供應商管理或驗收條件，一旦寫進合約就必須達到。
參考資料
- SEMI，SEMI E187 Specification for Cybersecurity of Fab Equipment（SEMI 官方商店販售）
- SEMI Standards Watch，〈Major Revision of SEMI E187: Tiered Security Levels〉，2026 年 8 月
- SEMI Standards Watch，〈Navigating SEMI E187: New Cybersecurity White Paper〉，2025 年 8 月
- 工研院《電腦與通訊》，〈推動 SEMI E187 資安標準，助產業接軌國際趨勢〉，2023
- SEMI E187 Reference Practice v2.0，2022 年 10 月